Saldıran Red Team, savunan Blue Team

1.1CIA üçlüsü: gizlilik, bütünlük, erişilebilirlik

Bilgi güvenliğinin üç temel hedefi vardır. Her saldırı en az birini bozar, her güvenlik önlemi en az birini korur. Bir olayı değerlendirirken ilk soru şudur: hangisi zarar gördü?

Bu üçlüye sık eklenen dört kavram daha vardır. Kimlik doğrulama (authentication) "sen kimsin?" sorusunu, yetkilendirme (authorization) "ne yapmaya iznin var?" sorusunu yanıtlar. Kayıt tutma (accounting) kimin ne yaptığını izlenebilir kılar. İnkâr edilemezlik (non-repudiation) ise bir işlemi yapan kişinin bunu sonradan reddedememesini sağlar; dijital imza bunun tipik aracıdır.

1.2Temel kavramlar

1.3Risk = olasılık × etki

Kurumlar her zafiyeti aynı anda kapatamaz; bu yüzden riskler puanlanır ve sıraya konur. En yaygın araç 5×5 risk matrisidir. Bir kareye tıklayarak puanı ve örnek bir senaryoyu görebilirsiniz.

Puan hesaplandıktan sonra dört karardan biri verilir:

1.4Tehdit aktörleri

Kime karşı savunduğunuzu bilmek, nasıl savunacağınızı belirler. Red Team de bir operasyonu planlarken bu profillerden birini taklit eder.

2.1Renk çemberi

2.2Red Team ve Blue Team yan yana

3.1Cyber Kill Chain

Lockheed Martin'in 2011'de askerî "öldürme zinciri" kavramından uyarladığı model, hedefli bir saldırıyı yedi aşamaya böler. Ana fikir şudur: saldırganın hedefe ulaşması için her halkayı geçmesi gerekir. Savunma herhangi bir halkayı kırarsa saldırı durur. Bir aşamaya tıklayın:

Modelin savunma tarafı için önerdiği altı eylem şunlardır: tespit et (detect), engelle (deny), boz (disrupt), yavaşlat (degrade), aldat (deceive) ve yok et (destroy). Kurumlar pratikte ilk beşini kullanır. Örneğin bal küpü (honeypot) "aldat", e-posta ek filtresi "engelle" eylemidir.

3.2MITRE ATT&CK

ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge), gerçek saldırılarda gözlemlenmiş davranışları sınıflandıran, MITRE'nin herkese açık bilgi tabanıdır. Kurumlar için Enterprise, mobil cihazlar için Mobile, endüstriyel kontrol sistemleri için ICS matrisi bulunur. Dört katmanı vardır:

Aşağıdaki matris Enterprise matrisinin 14 taktiğini ve her taktikten seçilmiş 50 tekniği gösterir. Renkler girişteki haritayla aynıdır: örnek bir kurumun hangi tekniği tespit edebildiğini gösterir. Bir tekniğe tıklayınca Red Team'in ne yaptığını, Blue Team'in onu nerede gördüğünü ve nasıl önlendiğini görürsünüz.

4.1Değerlendirme türleri

"Hacker tutalım" isteği genelde beş farklı hizmetten birine karşılık gelir. Aralarındaki fark kapsam, süre ve amaçtır:

İhlal varsayımlı test (assumed breach) özel bir gri kutu türüdür. Testin içeride ele geçirilmiş bir çalışan bilgisayarıyla başladığı kabul edilir. Oltalama aşaması atlanır ve sürenin tamamı asıl soruya ayrılır: içerideki saldırgan ne kadar ilerleyebilir?

4.2Sızma testi metodolojisi (PTES)

Sızma testinin standart akışı PTES'tir (Penetration Testing Execution Standard). Web uygulamaları için OWASP WSTG, genel teknik rehber olarak NIST SP 800-115 ve OSSTMM de kullanılır.

1. Ön görüşme

   Kapsam, hedefler, test saatleri, iletişim kişileri, acil durdurma prosedürü ve yasal izin netleştirilir. Çıktısı angajman kuralları belgesidir.

2. Bilgi toplama

   Pasif keşif (OSINT): DNS kayıtları, sertifika şeffaflığı logları, şirket sitesi, sosyal medya, daha önce sızmış veriler. Aktif keşif: port taraması ve servis tespiti.

3. Tehdit modelleme

   Kurum için değerli varlıklar (müşteri verisi, ödeme sistemi) ve olası saldırganlar belirlenir. Sorulan soru: en olası saldırı yolu hangisi?

4. Zafiyet analizi

   Tarayıcı çıktıları elle doğrulanır, yanlış pozitifler ayıklanır, zafiyetler istismar edilebilirliğe göre sıralanır.

5. İstismar

   Zafiyetin gerçekten kullanılabildiği, sisteme zarar vermeden kanıtlanır. Üretim sistemlerinde servis kesintisi yaratabilecek her adım önceden onaylanır.

6. İstismar sonrası

   Elde edilen erişimin iş açısından değeri ölçülür: hangi verilere ulaşılabiliyor, yetki yükseltilebiliyor mu? Test sonunda bırakılan her dosya ve hesap temizlenir.

7. Raporlama

   Yönetici özeti, teknik bulgular, adım adım kanıt, CVSS puanı ve uygulanabilir çözüm önerisi (bkz. Şablon 02).

4.3Red Team operasyonunun yaşam döngüsü

Red Team operasyonu bir sızma testinden daha uzun sürer ve daha "sessiz" yürür. Operasyon bir bayrakla (flag) tanımlanır, yani kanıtlanması gereken bir hedefle: "Genel müdürün e-postalarına eriş" ya da "ödeme sunucusunda dosya oluştur" gibi.

1. Planlama

   Hedef (taç mücevheri), taklit edilecek tehdit profili, angajman kuralları, White Team iletişimi ve acil durdurma kelimesi belirlenir.

2. Keşif ve altyapı

   OSINT ile çalışan listesi ve teknoloji yığını çıkarılır. Operasyon için alan adları ve komuta-kontrol (C2) sunucuları hazırlanır.

3. İlk erişim

   Oltalama, dışa açık bir servisin zafiyeti, sızmış bir parola ya da fiziksel erişim kullanılır.

4. Tutunma ve kalıcılık

   Ele geçirilen makinede yeniden başlatmadan sonra da kalabilecek bir erişim kurulur.

5. Yetki yükseltme ve kimlik bilgileri

   Yerel yönetici olunur, bellekteki ya da dosyalardaki kimlik bilgileri toplanır.

6. Yanal hareket

   Toplanan kimlik bilgileriyle başka makinelere, sonunda hedefe giden yol üzerindeki sunuculara geçilir.

7. Hedefe ulaşma

   Bayrak kanıtlanır. Gerçek veri dışarı çıkarılmaz; erişim ekran görüntüsü ve zaman damgasıyla belgelenir.

8. Rapor ve değerlendirme toplantısı

   Saldırı anlatısı zaman çizelgesiyle sunulur: her adımda Blue Team ne gördü, neyi kaçırdı?

9. Purple tekrar

   Operasyonun kritik adımları Blue Team ile birlikte yeniden oynanır, her kör nokta için tespit kuralı yazılır (bkz. 07).

4.4Teknik alanlar

4.5OWASP Top 10 (2025)

OWASP Top 10, web uygulamalarında en kritik risk kategorilerinin listesidir ve web testlerinin ortak kontrol listesi olarak kullanılır. 2025 sürümünde tedarik zinciri ve hata yönetimi listeye ayrı kategoriler olarak girdi, SSRF ise erişim kontrolü kategorisine katıldı.

4.6Active Directory saldırıları ve bıraktıkları izler

Kurumsal ağların çoğunda kimlik yönetimi Active Directory (AD) ile yapılır. AD'yi ele geçiren kurumu ele geçirir, bu yüzden Red Team operasyonlarının çoğu burada düğümlenir. Her saldırının Blue Team'in yakalayabileceği bir izi vardır:

4.7Red Team araçları ve raporlama

Araçlar yöntemin yerine geçmez, ama alanın ortak dilinin bir parçasıdır. Listedeki araçların çoğunu Blue Team de kendi ortamını saldırganın gözüyle görmek için kullanır.

Raporda her bulgu bir ciddiyet puanı taşır. Standart olarak CVSS (Common Vulnerability Scoring System) kullanılır. Aşağıdaki hesaplayıcı CVSS v3.1 temel puanını resmî formülle hesaplar. Kasım 2023'te yayımlanan v4.0 yeni metrikler ekledi, ama birçok araç ve veritabanı hâlâ 3.1 puanı da verir.

5.1Roller

5.2SOC nasıl çalışır?

Güvenlik Operasyon Merkezi (SOC), kurumun 7/24 güvenlik nöbetidir. Bir log satırının olay raporuna dönüşme yolculuğu şöyledir:

1. Kaynaklar

   Uç noktalar, sunucular, güvenlik duvarı, DNS, proxy, e-posta ağ geçidi, kimlik sistemi (AD / Entra ID), bulut hesapları.

2. Toplama ve normalleştirme

   Loglar SIEM'e akar. Farklı biçimler ortak alan adlarına çevrilir (kullanıcı, kaynak IP, süreç) ve tehdit istihbaratıyla zenginleştirilir.

3. Tespit

   Korelasyon kuralları, EDR alarmları ve davranış analitiği (UEBA) şüpheli örüntüleri yakalar, alarm üretir.

4. Triage (Tier 1)

   Analist alarmı bağlamıyla inceler. Yanlış pozitifse kapatır ve kuralın ayarlanması için not düşer, gerçekse olay kaydı açar.

5. Müdahale (Tier 2–3)

   Kapsam belirlenir, makine izole edilir, hesaplar kilitlenir. Gerekirse adli inceleme başlar (bkz. 06).

6. Kapanış ve iyileştirme

   Kök neden yazılır, kural ve playbook güncellenir, SOAR ile tekrarlanan adımlar otomatikleştirilir.

5.3Derinlemesine savunma

Tek bir kontrol her zaman aşılabilir. Bu yüzden savunma katmanlı kurulur ve her katman bir öncekinin kaçırdığını yakalamaya çalışır. Saldırganın merkezdeki veriye ulaşmak için hepsini geçmesi gerekir.

5.4NIST Siber Güvenlik Çerçevesi 2.0

Şubat 2024'te yayımlanan NIST CSF 2.0, bir kurumun güvenlik programını altı işlev altında toplar. 2.0 sürümünde diğer beşini kapsayan Yönet işlevi eklendi.

5.5Log kaynakları ve olay kimlikleri

Blue Team'in gözü loglardır. Toplanmayan log aranamaz. Windows ortamlarında en çok kullanılan olay kimlikleri:

5.6Tespit mühendisliği

Tespit mühendisliği, bir saldırı tekniğini güvenilir ve az gürültülü bir alarma dönüştürme işidir. Kurallar kod gibi yazılır, sürümlenir ve test edilir (detection-as-code). Üç ortak biçim vardır: log tabanlı tespit için Sigma, dosya ve bellek taraması için YARA, ağ trafiği için Suricata/Snort. Sigma kuralı SIEM'den bağımsız yazılır, sonra Splunk, Elastic ya da Sentinel sorgusuna çevrilir.

title: Kodlanmış Komutla Çalıştırılan PowerShell
id: 5b7f8a2c-3d1e-4f6a-9b8c-2e4d6f8a0b1c
status: experimental
description: >
  PowerShell'in -EncodedCommand parametresiyle başlatılmasını yakalar.
  Saldırganlar komutu gizlemek için kullanır.
author: Blue Team
date: 2026-11-13
tags:
  - attack.execution
  - attack.t1059.001
logsource:
  category: process_creation
  product: windows
detection:
  selection_img:
    Image|endswith:
      - '\powershell.exe'
      - '\pwsh.exe'
  selection_cli:
    CommandLine|contains:
      - ' -enc '
      - ' -EncodedCommand '
      - ' -ec '
  condition: selection_img and selection_cli
falsepositives:
  - Komutları kodlanmış biçimde çalıştıran yönetim yazılımları
level: high

Aynı mantık doğrudan SIEM sorgusu olarak da yazılabilir. Aşağıdaki iki sorgu parola püskürtmeyi arar: 10 dakika içinde tek bir kaynaktan 10'dan fazla farklı hesaba başarısız giriş. Alan adları veri kaynağına göre değişebilir.

SecurityEvent
| where EventID == 4625
| summarize Deneme = count(), Hesap = dcount(TargetUserName) by IpAddress, bin(TimeGenerated, 10m)
| where Hesap > 10
| sort by Hesap desc

index=wineventlog EventCode=4625
| bin _time span=10m
| stats count AS deneme dc(TargetUserName) AS hesap BY _time, IpAddress
| where hesap > 10
| sort - hesap

Bir kuralın yaşam döngüsü

1. Fikir

   Tehdit istihbaratı, Red Team bulgusu ya da bir olay sonrası çıkarılan ders.

2. Veri kontrolü

   Bu tekniği görecek log toplanıyor mu? Toplanmıyorsa önce loglama açılır.

3. Kural yazımı

   Sigma ya da SIEM sorgusu yazılır, ATT&CK tekniğiyle etiketlenir.

4. Test

   Teknik test ortamında güvenli biçimde uygulanır (ör. Atomic Red Team) ve kuralın tetiklendiği doğrulanır.

5. Ayar

   Gerçek ortamda bir süre sessiz modda çalıştırılır, yanlış pozitif kaynakları istisnaya alınır.

6. Yayın ve bakım

   Kural playbook'uyla birlikte yayına alınır. Ortam değiştikçe düzenli olarak yeniden test edilir.

5.7Tehdit avı ve analiz modelleri

Tehdit avı (threat hunting), alarm beklemeden saldırgan izi aramaktır. Çıkış noktası bir hipotezdir: "Saldırganlar kalıcılık için zamanlanmış görev kullanıyorsa, son 30 günde imzasız bir programı çalıştıran ve yalnızca birkaç makinede görülen görevler bulunmalı." Av üç yoldan yürür:

5.8E-posta güvenliği: SPF, DKIM, DMARC

Saldırıların büyük kısmı bir e-postayla başlar. Alan adınızın taklit edilmesini önleyen üç DNS kaydı birlikte çalışır:

# SPF: bu alan adı adına hangi sunucular posta gönderebilir? -all = diğerlerini reddet
ornekfirma.com.tr.                TXT  "v=spf1 include:_spf.google.com -all"

# DKIM: giden postalar özel anahtarla imzalanır, alıcı bu açık anahtarla doğrular
s1._domainkey.ornekfirma.com.tr.  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."

# DMARC: SPF/DKIM başarısızsa ne yapılsın? p=none → quarantine → reject diye sıkılaştırılır
_dmarc.ornekfirma.com.tr.         TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@ornekfirma.com.tr; adkim=s; aspf=s"

DMARC'a doğrudan p=reject ile başlanmaz. Önce p=none ile birkaç hafta rapor toplanır, meşru göndericiler (fatura sistemi, bülten aracı) SPF/DKIM'e eklenir, sonra politika adım adım sıkılaştırılır.

5.9Blue Team araçları

5.10Temel sıkılaştırma kontrol listesi

Saldırıların büyük kısmı ileri teknikle değil, bilinen ve kapatılmamış açıklarla gerçekleşir. Bu liste her kurumun ilk bakması gereken yerleri toplar. İşaretlemeleriniz bu tarayıcıda saklanır.

6.1Müdahale yaşam döngüsü

6.2Önem dereceleri ve müdahale süreleri

Her olay aynı aciliyette değildir. Kurumlar önem derecesini önceden tanımlar ki gece üçte kimi uyandıracağını tartışmasın. Aşağıdaki süreler örnek niteliğindedir; her kurum kendi iş etkisine göre belirler.

6.3İlk 60 dakika

1. Doğrula

   Alarm gerçek mi? Bağlamı kontrol et: kullanıcı, makine, saat, benzer alarmlar. Yanlış pozitifse kapat ve not düş.

2. Kaydı aç, saati başlat

   Olay kaydı açılır. Bundan sonra her gözlem ve karar zaman damgasıyla yazılır; zaman çizelgesi en değerli belgedir.

3. Derecelendir ve ata

   Önem derecesi verilir, bir olay sorumlusu (incident commander) atanır. Kararları tek kişi verir.

4. Kapsamı belirle

   Aynı IOC hangi makinelerde var? Hangi hesaplar etkilendi? EDR ve SIEM'de geriye dönük arama yapılır.

5. Kanıtı koru

   Değişken veri önce toplanır: bellek imajı, çalışan süreçler, ağ bağlantıları. Ardından disk imajı ve loglar alınır.

6. Sınırla

   Makine ağdan izole edilir, hesaplar devre dışı bırakılır, oturum ve token'lar iptal edilir, kötü niyetli alan adı engellenir.

7. İletişim

   Yönetim ve hukuk bilgilendirilir, KVKK bildirimi için 72 saatlik süre değerlendirilir. Saldırganın izliyor olabileceği e-posta yerine ayrı bir kanal kullanılır.

6.4Delil toplama sırası ve delil zinciri

RFC 3227, delillerin en kısa ömürlüden en uzun ömürlüye doğru toplanmasını önerir. Uçucu veri her saniye değişir, disk ise beklemeyi kaldırabilir:

Delil zinciri (chain of custody), bir delilin toplandığı andan mahkemeye kadar kimin elinde olduğunu kesintisiz belgeler: kim topladı, ne zaman, hangi araçla, hash değeri neydi, kime teslim edildi? Zincirdeki bir boşluk, teknik olarak doğru bir delilin hukuken geçersiz sayılmasına yol açabilir (bkz. Şablon 12).

6.5Sınırlama stratejileri

6.6Masa başı tatbikatı (tabletop)

Planın işe yarayıp yaramadığını görmenin en ucuz yolu, ekibi bir masaya oturtup bir senaryoyu konuşarak yaşamaktır. Kolaylaştırıcı senaryoyu aşama aşama açar, her aşamaya yeni bir gelişme ekler:

7.1Purple döngüsü

1. Tehdit seç

   CTI ekibi kuruma en olası saldırgan grubunu ve kullandığı teknikleri belirler.

2. Test planla

   Her teknik için güvenli bir test, beklenen log ve beklenen alarm yazılır.

3. Red uygular

   Red Team tekniği gerçek ortamda kontrollü biçimde çalıştırır, saati paylaşır.

4. Blue gözlemler

   Log geldi mi? Alarm üretildi mi? Analist doğru yorumladı mı? Engellendi mi?

5. Boşluk analizi

   Sonuç işaretlenir: engellendi, alarm üretti, yalnız log var ya da hiçbir iz yok.

6. Kural yaz ya da ayarla

   Eksik loglama açılır, yeni kural yazılır, gürültülü kural ayarlanır.

7. Yeniden test et

   Aynı test tekrarlanır. Alarm üretildiyse kapsam haritası güncellenir, döngü sıradaki teknikle sürer.

7.2Örnek tatbikat sonuçları

Bir Purple Team gününün çıktısı aşağıdakine benzer bir tablodur. Asıl değer "tespit edildi" satırlarında değil, kör noktalardan çıkan aksiyonlardadır:

7.3Ölçmek ve araçlar

1. Gün 1 · 09:12İlk erişim: oltalama e-postasıT1566.001 · T1204.002

   Saldırgan

   Muhasebe birimine "Ekim ayı e-fatura itirazı" konulu bir e-posta gönderir. Ekteki ZIP dosyasında PDF simgeli bir kısayol (LNK) dosyası vardır. Kullanıcı dosyayı açar.

   Savunma

   E-posta ağ geçidi: ZIP içinde LNK · Sysmon 1: explorer.exe → powershell.exe (gizli pencere)

   Tespit: "Kısayol dosyasından başlatılan gizli PowerShell" kuralı.

   Baştan engelleyecek kontrol: ZIP / ISO içindeki LNK, JS gibi riskli eklerin ağ geçidinde engellenmesi; oltalama farkındalık eğitimi.
2. Gün 1 · 09:13Yürütme: ikinci aşama yükün indirilmesiT1059.001 · T1105

   Saldırgan

   PowerShell, kodlanmış bir komutla üç gün önce kaydedilmiş bir alan adından asıl zararlı yükü indirip belleğe yükler.

   Savunma

   Olay 4104 (betik bloğu) · Proxy: yeni kaydedilmiş alan adı · DNS sorgusu

   Tespit: Sigma "-EncodedCommand" kuralı (5.6) ve "30 günden yeni alan adına bağlantı" alarmı.

   Baştan engelleyecek kontrol: Proxy'de yeni kaydedilmiş ve kategorisiz alan adlarını engellemek; PowerShell Constrained Language Mode.
3. Gün 1 · 09:20Komuta-kontrol: düzenli beaconT1071.001

   Saldırgan

   Makine her 60 saniyede bir (%20 rastgele sapmayla) HTTPS üzerinden saldırganın sunucusuna "komut var mı?" diye sorar.

   Savunma

   Proxy / NDR: aynı hedefe düzenli aralıklı, küçük boyutlu bağlantılar

   Tespit: Beacon analizi: bağlantı aralıklarının sapması çok düşük, hedef nadir görülen bir alan adı.

   Baştan engelleyecek kontrol: Çıkış trafiğini yalnız proxy üzerinden izinli kategorilere açmak.
4. Gün 1 · 14:40Keşif ve kimlik bilgisi toplamaT1087.002 · T1003.001

   Saldırgan

   AD'deki kullanıcıları, grupları ve yetki ilişkilerini toplar. Ardından LSASS sürecinin belleğinden bu bilgisayarda oturum açmış yardım masası çalışanının kimlik bilgisini çıkarır.

   Savunma

   Kısa sürede yüzlerce LDAP sorgusu · Sysmon 10: lsass.exe'ye olağandışı erişim

   Tespit: EDR'nin LSASS erişim alarmı. Bu, zinciri kırmak için en iyi fırsatlardan biridir.

   Baştan engelleyecek kontrol: Credential Guard ve LSA koruması; yönetici hesaplarının sıradan bilgisayarlarda oturum açmaması (katman modeli).
5. Gün 2 · 02:05Yanal hareket: dosya sunucusuna geçişT1021.001 · T1021.002

   Saldırgan

   Yardım masası hesabıyla gece saatinde RDP ve SMB üzerinden dosya sunucusuna, oradan yedekleme sunucusuna bağlanır.

   Savunma

   Olay 4624 tür 10, saat 02:05 · İlk kez görülen kaynak → hedef çifti

   Tespit: UEBA: "Mesai dışı, ilk kez görülen RDP bağlantısı, ayrıcalıklı hesap."

   Baştan engelleyecek kontrol: Yönetim erişimini ayrı yönetim istasyonlarına (PAW) ve MFA'ya bağlamak; sunucu ağını segmentlere ayırmak.
6. Gün 2 · 03:30Toplama ve sızdırma: çifte şantaj hazırlığıT1560.001 · T1567.002

   Saldırgan

   Finans ve insan kaynakları klasörlerini arşivleyip bir bulut depolama hizmetine yükler. Amaç, şifrelemenin yanında "verini yayımlarım" tehdidini de kullanabilmektir.

   Savunma

   Proxy: 40 dakikada 180 GB giden veri · Sunucuda rclone süreci

   Tespit: Giden veri hacmi anomalisi ve sunucudan bulut depolamaya bağlantı.

   Baştan engelleyecek kontrol: Sunucuların internete doğrudan çıkışını kapatmak; DLP ve bulut depolama kısıtı.
7. Gün 2 · 04:10Savunmayı zayıflatma ve kurtarmayı engellemeT1490 · T1070.001 · T1562.001

   Saldırgan

   Gölge kopyaları siler, yedekleme servisini durdurur, güvenlik günlüğünü temizler ve antivirüsü devre dışı bırakmayı dener.

   Savunma

   vssadmin delete shadows · Olay 1102 · Olay 7036 (servis durdu) · EDR kurcalama alarmı

   Tespit: Bu adımların her biri yüksek güvenilirlikli, kritik alarm üretir. Burası zinciri kırmak için son çıkıştır.

   Baştan engelleyecek kontrol: Değişmez (immutable) ve çevrim dışı yedek; EDR kurcalama koruması.
8. Gün 2 · 04:25Etki: şifrelemeT1486

   Saldırgan

   Dosya sunucusunda şifrelemeyi başlatır, her klasöre fidye notu bırakır.

   Savunma

   Dakikada binlerce dosya yeniden adlandırma · yüksek entropili yazma · fidye notu dosyaları

   Müdahale: EDR ile sunucuyu izole et, ele geçirilen hesapları kilitle, kapsamı belirle, temiz yedekten kurtar (6. bölüm).

   Baştan engelleyecek kontrol: Fidye yazılımı davranış koruması, kritik paylaşımlarda erişim kısıtı, test edilmiş kurtarma planı.

9.1Sıfır güven (Zero Trust)

Eski model "içerisi güvenli, dışarısı tehlikeli" varsayımına dayanıyordu. Sıfır güven (NIST SP 800-207) ağın içinde olmayı tek başına güven sebebi saymaz. Her erişim isteği kimliğe, cihazın durumuna ve bağlama göre her seferinde yeniden değerlendirilir.

9.2CIS Kritik Güvenlik Kontrolleri (v8.1)

Center for Internet Security'nin 18 kontrolü, "nereden başlamalıyım?" sorusunun en yaygın cevabıdır. Kontroller kurumun olgunluğuna göre üç uygulama grubuna (IG1–IG3) ayrılır. IG1 her kurum için asgari "siber hijyen" sayılır.

9.3Kimlik: yeni çevre

Bulut ve uzaktan çalışmayla birlikte ağın sınırı silikleşti, korunması gereken asıl sınır kimlik oldu. Saldırganlar artık çoğu zaman "hacklemiyor", geçerli bir hesapla oturum açıyor.

9.4Yedekleme: 3-2-1-1-0 kuralı

Fidye yazılımına karşı son savunma hattı yedektir. Ama saldırganlar artık önce yedekleri hedefliyor. Klasik 3-2-1 kuralı bu yüzden iki maddeyle genişledi:

Test edilmemiş yedek, yedek sayılmaz. Kurtarma süresi hedefi (RTO) ve kabul edilebilir veri kaybı (RPO) önceden belirlenir ve tatbikatla doğrulanır.

9.5Yama önceliklendirme

Her ay yüzlerce yeni CVE yayımlanır, hepsini aynı gün kapatmak mümkün değildir. Yalnızca CVSS puanına bakmak yanıltır, çünkü 9,8 puanlı bir zafiyet hiç istismar edilmeyebilir. Önceliklendirmede dört sinyal birlikte kullanılır:

9.6Referans ağ mimarisi şablonu

Segmentasyonlu bir ağda saldırganın bir bölgeden diğerine geçmesi hem zorlaşır hem de görünür hâle gelir. Aşağıdaki şablon küçük ve orta ölçekli bir kurum için başlangıç noktasıdır:

11.1Türkiye'de hukuki çerçeve

11.2Meslek ahlakı

11.3Kariyer yolları

Öğrenme yol haritası

1. Temel bilişim

   Bilgisayar donanımı, işletim sistemi kullanımı, komut satırı (Linux terminali ve PowerShell).

2. Ağ ve sistemler

   TCP/IP, OSI modeli, DNS, HTTP, DHCP; Linux yönetimi, Windows ve Active Directory temelleri.

3. Betik yazma

   Python ile otomasyon, Bash ve PowerShell ile sistem işleri. Kod okumayı bilmek iki taraf için de şarttır.

4. Güvenlik temelleri

   Bu rehberdeki kavramlar: CIA, kriptografi, kimlik doğrulama, yaygın saldırılar, temel kontroller.

5. Taraf seçimi ve laboratuvar

   Evde sanal makinelerle küçük bir laboratuvar kurun: bir DC, iki istemci, bir SIEM. Aynı saldırıyı önce yapın, sonra loglarda arayın.

6. Topluluk

   CTF yarışmaları, yerel güvenlik toplulukları ve konferanslar. Öğrendiklerinizi yazıya dökmek en iyi pekiştirmedir.

Bu aramaya uyan terim yok.